Firma elettronica: semplice, avanzata e qualificata a confronto

La firma elettronica è, nella definizione più ampia data dal regolamento europeo eIDAS, qualunque dato in forma elettronica che una persona usa per firmare un documento: dal semplice click di accettazione a un sistema che ne verifica l'identità con un certificato digitale. Non è quindi un'unica tecnologia, ma una famiglia di soluzioni con tre livelli di sicurezza e valore legale molto diversi tra loro. Questo articolo spiega come si distinguono firma semplice, avanzata e qualificata, cosa dice la legge sul loro valore probatorio e quale scegliere per i contratti che si firmano più spesso in azienda.

Cosa dice il regolamento eIDAS sulla firma elettronica

Il regolamento (UE) 910/2014, noto come eIDAS, disciplina in modo uniforme in tutta l'Unione Europea l'identità digitale e le firme elettroniche. Il suo articolo 3 definisce tre categorie, ciascuna più esigente della precedente:

• Firma elettronica semplice (FES): dati elettronici collegati ad altri dati elettronici e usati dal firmatario per firmare. È la definizione più ampia e comprende anche strumenti minimi, come un'immagine della firma incollata in un documento o la spunta di una casella di accettazione.
• Firma elettronica avanzata (FEA): deve essere connessa in modo univoco al firmatario, permetterne l'identificazione, essere creata con dati che il firmatario può usare sotto il proprio controllo esclusivo e consentire di rilevare ogni successiva modifica del documento firmato.
• Firma elettronica qualificata (FEQ): una FEA creata da un dispositivo di firma qualificato e basata su un certificato qualificato rilasciato da un prestatore di servizi fiduciari accreditato.

L'articolo 25 dello stesso regolamento fissa il principio cardine: a nessuna firma elettronica possono essere negati effetti giuridici o ammissibilità come prova per il solo fatto di essere in forma elettronica. La FEQ, però, riceve un trattamento ulteriore: ha effetti giuridici equivalenti alla firma autografa ed è riconosciuta automaticamente in tutti gli Stati membri, senza bisogno di verifiche aggiuntive.

I tre livelli a confronto: cosa cambia in pratica

La differenza tra i tre livelli non è solo teorica: cambia cosa succede se qualcuno, in un secondo momento, contesta di aver firmato o sostiene che il documento è stato alterato dopo la firma.

Con una firma semplice, l'onere di dimostrare che una determinata persona ha firmato ricade su chi vuole far valere il documento, e la prova è libera: un giudice valuta caso per caso l'affidabilità del sistema usato, senza una presunzione di validità a favore. È adatta a comunicazioni a basso rischio — conferme d'ordine di scarso valore, accettazioni interne — ma espone a contestazioni più difficili da vincere quando la posta in gioco cresce.

La firma avanzata alza la soglia: richiede un sistema che leghi la firma a un'identità verificata e che renda evidente qualsiasi modifica successiva al documento. È la scelta più diffusa per i contratti commerciali tra aziende, perché offre una tracciabilità solida senza il livello di complessità organizzativa richiesto dalla firma qualificata.

La firma qualificata è il livello più alto: richiede un certificato qualificato legato all'identità del firmatario e un dispositivo di firma sicuro. È l'unica che gode di una presunzione legale di riconducibilità al titolare, salvo prova contraria, ed è per questo la scelta obbligata per gli atti dove la legge la richiede espressamente o dove il rischio di contestazione è alto.

Il valore probatorio in Italia: cosa aggiunge il CAD

In Italia, il Codice dell'Amministrazione Digitale (CAD) traduce questi principi europei in regole operative. L'art. 21 stabilisce che un documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale, formato nel rispetto delle regole tecniche che ne garantiscono identificabilità dell'autore, integrità e immodificabilità, ha l'efficacia probatoria prevista dall'art. 2702 del codice civile per la scrittura privata: fa piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l'ha sottoscritta. Per la firma qualificata (e per la firma digitale, la sua variante italiana basata su crittografia a chiavi asimmetriche), l'uso del dispositivo di firma si presume riconducibile al titolare, salvo che questi non provi il contrario.

Una firma semplice, invece, non gode di questa equiparazione automatica: la sua idoneità a soddisfare la forma scritta e il suo valore probatorio restano liberamente valutabili dal giudice, in base a sicurezza, integrità e immodificabilità del sistema usato per formarla. Questo non significa che sia priva di valore — molti contratti si concludono validamente con firme semplici — ma che, in caso di contestazione, chi la usa parte da una posizione meno protetta.

Quale firma scegliere per ogni contratto

Nella pratica quotidiana di un ufficio legale o amministrativo, la scelta si fa guardando a due fattori: il rischio economico del contratto e la probabilità che venga contestato.

Per accordi a basso rischio — ordini ricorrenti, conferme operative, comunicazioni interne — una firma semplice è spesso sufficiente e non giustifica la complessità di un certificato qualificato. Per la maggior parte dei contratti commerciali tra aziende — forniture, contratti di agenzia, accordi di riservatezza — la firma avanzata è il punto di equilibrio più comune: offre tracciabilità e identificazione solida senza i costi organizzativi della firma qualificata. Per atti dove la legge impone una forma specifica, o dove la posta in gioco rende necessaria la massima tutela probatoria, la scelta corretta è la firma qualificata; nei casi dubbi, la valutazione va fatta con il proprio consulente legale, perché la forma richiesta dipende dal tipo di atto e non da una regola unica valida per ogni contratto.

Chi gestisce grandi volumi di contratti raramente ha il problema opposto — usare un livello di firma troppo alto — ma quello di applicarne uno diverso da un cliente all'altro senza un criterio chiaro, così che al momento di una contestazione nessuno ricorda più perché quel particolare accordo è stato firmato in un modo piuttosto che in un altro.

Domande frequenti

Cos'è la firma elettronica secondo la normativa europea? È definita dal regolamento eIDAS come un insieme di dati in forma elettronica, allegati o connessi ad altri dati elettronici, che il firmatario usa per firmare; è la categoria più ampia, che comprende anche il semplice click di accettazione o un nome digitato in coda a un'email.

Che differenza c'è tra firma elettronica semplice, avanzata e qualificata? Semplice, avanzata (FEA) e qualificata (FEQ) si distinguono per il livello di sicurezza e identificazione del firmatario: la FEA lega la firma in modo univoco alla persona sotto il suo controllo esclusivo, la FEQ aggiunge un certificato qualificato e un dispositivo di firma, ed è l'unica equiparata per legge alla firma autografa.

Quale firma elettronica serve per un contratto tra aziende? Dipende dal contratto e dal rischio che comporta un'eventuale contestazione: per la gran parte degli accordi commerciali basta una FEA con identificazione solida del firmatario, mentre per atti dove serve la piena equiparazione alla firma autografa si sceglie la FEQ.

La firma elettronica qualificata ha lo stesso valore della firma autografa? Sì: l'articolo 25 del regolamento eIDAS attribuisce alla firma elettronica qualificata effetti giuridici equivalenti alla firma autografa, e il Codice dell'Amministrazione Digitale ne conferma l'efficacia in Italia allineandola all'art. 2702 del codice civile.

Scegliere il livello di firma giusto per ogni contratto, e ritrovarlo con certezza quando serve, è un problema che si complica al crescere dei volumi: in Accordyx ogni contratto viene firmato con il livello configurato per quel tipo di accordo, e il certificato di firma resta associato al documento senza doverlo cercare tra email e allegati. → Come funziona la firma digitale in piattaforma